Izjava o zasebnosti Evropske komisije in roki hrambe

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste od Evropske Komisije dobili vprašanje glede ujemanja njihove Izjave o zasebnosti (Privacy notice), ki ste nam jo posredovali v spletni povezavi,  z našo nacionalno zakonodajo glede shranjevanja oz. arhiviranja osebnih podatkov za obdobja, daljša od opisanih v izjavi o zasebnosti. Prosite nas, če lahko preverimo, ali je EU zakonodaja skladna z našo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

IP ne more preverjati skladnosti izjave o zasebnosti Evropske komisije s slovensko zakonodajo. Na določenih področjih so roki hrambe določeni v zakonu ali podzakonskem predpisu (na primer zdravstvo, šolstvo, policijske evidence, davčno področje, javne listine itd.), na določenih področjih pa roki hrambe niso eksplicitno določeni in jih mora upravljavec določiti sam, predvsem z uporabo načel Splošne uredbe. Poglavitno načelo v tem smislu narekuje, da se lahko osebne podatke hrani le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Ko odpade namen, zaradi katerega so se zbrali in nadalje obdelovali osebni podatki, je treba osebne podatke izbrisati ali nepovratno anonimizirati.

Obrazložitev

IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, prav tako se v neobvezujočem mnenju ne moremo vnaprej opredeliti do nameravanih konkretnih obdelav osebnih podatkov. IP je namreč nadzorni in prekrškovni organ, ki se do nameravanih (bodočih) obdelav osebnih podatkov ne sme opredeljevati, nudi lahko le splošne usmeritve in interpretacijo zakonodaje na načelni ravni. Tako žal konkretne izjave o zasebnosti Evropske komisije v vašem imenu ne moremo analizirati in se do nje opredeljevati oziroma ugotavljati, ali je skladna z našo zakonodajo s področja varstva osebnih podatkov, predvsem kar se tiče rokov hrambe osebnih podatkov.

Poleg tega, da se do konkretne izjave o zasebnosti in njene skladnosti s slovensko zakonodajo v mnenju ne smemo opredeljevati, pa je treba upoštevati tudi, da roki hrambe v slovenski zakonodaji niso enotno in enovito (denimo z enim predpisom) predpisani, temveč so roki hrambe odvisni predvsem od področja, na katerega sodijo osebni podatki, ki se obdelujejo. Na določenih področjih so roki hrambe določeni v zakonu ali podzakonskem predpisu (na primer zdravstvo, šolstvo, policijske evidence, davčno področje, javne listine itd.), na določenih področjih pa roki hrambe niso eksplicitno določeni in jih mora upravljavec določiti sam, predvsem z uporabo načel Splošne uredbe.

Glavno načelo glede določanja roka hrambe osebnih podatkov je načelo "omejitve hrambe" iz točke (e) prvega odstavka 5. člena Splošne uredbe, ki določa, da morajo biti osebni podatki "hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko hranijo daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki („omejitev hrambe“)." Bistvo tega načela je, da je treba osebne podatke po tem, ko odpade namen, zaradi katerega so se osebni podatki zbrali in nadalje obdelovali, izbrisati ali nepovratno anonimizirati.

Na samem upravljavcu osebnih podatkov je, da zagotovi skladnost z določbami Splošne uredbe in da je to skladnost tudi zmožen dokazati (drugi odstavek 5. člena Splošne uredbe).

Med drugim mora upravljavec osebnih podatkov pred nameravano obdelavo popolnoma razčistiti obdobja hrambe, saj mora posameznike, katerih osebne podatke obdeluje, skladno z določbo drugega odstavka 13. člena Splošne uredbe, obvestiti tudi o obdobju hrambe osebnih podatkov ali, kadar to ni mogoče, o merilih, ki se uporabijo za določitev tega obdobja.

Glede na to, da le sami veste, za katere osebne podatke gre v opisanem primeru, vam svetujemo, da za vsako vrsto osebnih podatkov, ki se v konkretnem primeru obdelujejo ali se bodo obdelovali, ugotovite, ali obstaja področna zakonodaja v Sloveniji, ki določa roke hrambe ali ne. V kolikor ne obstaja, pa pri presoji skladnosti izjave o zasebnosti izhajajte iz načela omejitve hrambe, kar je načeloma morala storiti že Evropska komisija ob opredelitvi rokov hrambe v izjavi o zasebnosti. Dejstvo namreč je, da je zakonodaja, ki zavezuje evropske institucije, ter države članice na področju varstva osebnih podatkov (v splošnem smislu) zelo podobna. Do razlik bi najbrž prišlo na področjih, kjer obstaja specialna zakonodaja, ki ureja roke hrambe.

Konkretno presojo morate torej opraviti sami, z veseljem pa vam odgovorimo na morebitna druga vprašanja.

Lepo vas pozdravljamo,

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov